Błąd w Ivanti EPM starszym niż 2024 SU5 pozwala bez logowania wyprowadzić poświadczenia zapisane w konsoli zarządzania komputerami. CISA potwierdza ataki. Zaktualizuj konsolę, odetnij ją od internetu i wymień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez Ivanti Endpoint Manager (EPM). Werdykt: jeśli konsola EPM działa w wersji starszej niż 2024 SU5, zaktualizuj ją dziś, odetnij ją od internetu i wymień hasła zapisane w konsoli, bo luka pozwala je wykraść bez logowania i jest wykorzystywana w atakach.
Amerykańska agencja CISA 9 marca 2026 roku dopisała podatność CVE-2026-1603 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Ivanti Endpoint Manager, systemu do zdalnego zarządzania komputerami: instalowania programów, aktualizacji i spisu sprzętu.
Luka pozwala osobie z dostępem sieciowym do konsoli, bez konta i hasła, wyprowadzić określone zapisane w niej poświadczenia. Konsola przechowuje dane logowania kont usługowych, którymi instaluje oprogramowanie na komputerach, więc wyciek daje napastnikowi klucze do wielu maszyn. Ivanti wydał poprawkę 10 lutego 2026 roku, informując wtedy, że nie ma dowodów ataków. Cztery tygodnie później CISA potwierdziła wykorzystanie, a termin naprawy minął 23 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-1603 |
Data dodania do CISA KEV | 2026-03-09 |
Termin naprawy wg CISA | 2026-03-23 (14 dni od wpisu) |
Produkt | Ivanti Endpoint Manager (EPM), serwer i konsola zarządzania komputerami |
Wersje zagrożone | Wszystkie wydania przed 2024 SU5: linia 2024 bez aktualizacji, 2024 SU1, SU2, SU3, SU3 Security Release 1, SU4, SU4 Security Release 1 oraz wszystkie wydania sprzed linii 2024 (NVD). Warunek: dostęp sieciowy do serwera EPM |
Wersje bezpieczne | Ivanti Endpoint Manager 2024 SU5 i nowsze |
Typ podatności | Obejście uwierzytelnienia prowadzące do wycieku zapisanych poświadczeń; producent i CISA: CWE-288 (obejście przez alternatywną ścieżkę), NVD dodatkowo: CWE-306 (brak uwierzytelnienia dla krytycznej funkcji) |
Ocena CVSS | Ivanti: 8.6 (CVSS 3.1, WYSOKA, ze zmianą zakresu skutków). NVD: 7.5 (CVSS 3.1, WYSOKA, bez zmiany zakresu). W obu: atak przez sieć, niska złożoność, bez logowania i bez udziału użytkownika, wysoki wpływ tylko na poufność |
Wyobraź sobie firmę, w której serwisant nie nosi przy sobie kluczy do każdego biura, bo wszystkie wiszą w jednej szafce w pokoju technicznym. Drzwi frontowe do tego pokoju mają porządny zamek. Okazuje się jednak, że od strony podwórza jest drugie wejście, przy którym nikt zamka nie zamontował. Ktoś wchodzi, dorabia klucze i wychodzi. Nic nie jest zniszczone, nic nie zginęło, więc nikt niczego nie zauważa.
Tak działa ta luka. Konsola Ivanti EPM musi mieć uprawnienia wyższe niż użytkownicy komputerów, więc przechowuje poświadczenia kont usługowych. Błąd pozwalał sięgnąć do części tych danych bez logowania, inną drogą niż główne wejście. Atak nie psuje systemu ani go nie szyfruje, dane po prostu wychodzą. Późniejsze działania napastnika wyglądają w logach jak zwykła praca administratora, bo używa prawdziwych kont.
💡 Endpoint Manager to system, przez który dział IT zarządza wszystkimi komputerami firmy z jednego miejsca. Poświadczenia to loginy i hasła lub inne dane uwierzytelniające. Konto usługowe to konto techniczne, którym system wykonuje zadania, np. instalację programów. CVSS to skala trudności i skutków ataku od 0 do 10. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z konsolą EPM | Musi się zalogować, inaczej zostaje odrzucona | Może wyprowadzić zapisane poświadczenia bez logowania |
Konto usługowe EPM | Używane tylko przez konsolę | Może być używane przez napastnika na wielu komputerach |
Dział IT sprawdza działanie systemu | Wszystko działa | Wszystko nadal działa, wyciek niewidoczny |
Logi logowań na komputerach | Logowania administracyjne to praca IT | Część „pracy IT” może być pracą napastnika |
Aktualizacja konsoli | Zamyka lukę | Zamyka lukę, ale nie unieważnia haseł wyniesionych wcześniej |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału pracownika, wystarczy dostęp sieciowy do serwera EPM. Według analizy źródłowej CISA oceniła atak jako możliwy do zautomatyzowania, czyli podatnych konsol można szukać masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu serwerów Ivanti EPM | Lista konsol osiągalnych z sieci |
2. Wyciek poświadczeń | T+kilka minut | Wykorzystanie obejścia uwierzytelnienia do pobrania zapisanych poświadczeń | Dane logowania kont usługowych w rękach napastnika |
3. Wejście do sieci | T+godziny do dni | Użycie poświadczeń do logowania na komputery i serwery firmy | Dostęp wyglądający jak praca administratora |
4. Rozpoznanie firmy | T+1 do 3 dni | Przegląd serwerów, udziałów plikowych i kopii zapasowych | Mapa najcenniejszych zasobów |
5. Utrwalenie i kradzież | T+3 do 14 dni | Zakładanie nowych kont, kopiowanie danych | Dane poza firmą, trwały dostęp |
6. Skutek | T+tygodnie | Sprzedaż dostępu, szantaż lub szyfrowanie danych | Wyciek, przestój, żądanie okupu |
Konsola do zarządzania komputerami to skrzynka z kluczami do całej firmy. Wyciek poświadczeń nie wywołuje awarii, więc bez celowego sprawdzenia firma może się o nim nigdy nie dowiedzieć. Koszt nie leży w naprawie systemu, tylko w wymianie wszystkich zapisanych haseł i ustaleniu, co nimi zrobiono.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana kont usługowych, przegląd komputerów, możliwy przestój przy dalszym ataku | Dni do tygodni | 30 tys. do 300 tys. PLN (praca IT, odtwarzanie) |
Bezpieczeństwo danych | Dostęp napastnika do serwerów i komputerów z prawami administratora, kradzież danych | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, ewentualny okup przy eskalacji do ransomware | Tygodnie | 80 tys. do 800 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów po ujawnieniu wycieku | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Ivanti EPM starszym niż 2024 SU5,
dostępnym z sieci
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest bardzo wysokie (atak bez logowania, możliwy do automatyzacji, potwierdzony przez CISA, EPSS około 81%), a wpływ wysoki, bo sama luka ujawnia dane, ale te dane otwierają drogę do wielu komputerów; konsola dostępna tylko z wydzielonej sieci administratorów przesuwa ryzyko w lewo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Ivanti EPM i to, czy serwer jest osiągalny z internetu lub sieci gościnnej | Dziś | Administrator systemów |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do serwera EPM spoza wydzielonej sieci administratorów | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować Endpoint Manager do 2024 SU5 lub nowszej | Do 2 dni | Administrator / partner IT |
4 | 🟠 PILNIE | Wymienić hasła wszystkich kont i poświadczeń zapisanych w konsoli EPM, jeśli działała bez poprawki | Do 3 dni | Administrator systemów |
5 | 🟠 PILNIE | Przejrzeć logowania kont usługowych EPM na serwerach i komputerach od lutego 2026 oraz sprawdzić, czy nie powstały nowe konta | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ograniczyć uprawnienia kont usługowych EPM do niezbędnego minimum | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ustalić zasadę: systemy zarządzające komputerami aktualizowane w dniach, nie w kwartałach | Do 30 dni | CTO |
Producent wydał poprawkę (2024 SU5), więc to ona zamyka lukę. CISA dopuszcza wyłączenie produktu, jeśli zaleceń producenta nie da się zastosować. Do czasu aktualizacji pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do serwera EPM tylko z wydzielonej sieci administratorów lub przez VPN | Wysoka wobec napastników z zewnątrz, nie chroni przed intruzem już obecnym w sieci | Średnia: technicy w terenie potrzebują VPN |
Wymiana poświadczeń zapisanych w konsoli | Wysoka wobec już wykradzionych haseł, nie zapobiega kolejnemu wyciekowi | Średnia: wymaga zmian w wielu miejscach |
Monitorowanie logowań kont usługowych EPM poza typowymi godzinami i serwerami | Niska jako ochrona, przydatna do wykrycia użycia skradzionych haseł | Średnia |
Czasowe wyłączenie serwera EPM | Wysoka | Łatwa technicznie, ale wstrzymuje zarządzanie komputerami |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Ivanti EPM | Starsza niż 2024 SU5, wyciek poświadczeń bez logowania | 2024 SU5 lub nowsza |
Dostępność konsoli | Możliwa z internetu lub całej sieci | Tylko z sieci administratorów |
Poświadczenia w konsoli | Mogły zostać wykradzione | Wymienione, stare nieważne |
Wiedza o incydencie | Brak śladów awarii, brak przeglądu | Przejrzane logowania kont usługowych |
Zgodność z terminem CISA | Zaległość od 23 marca 2026 (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). W dniu publikacji poprawki Ivanti informował, że nie ma dowodów ataków |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA wg Ivanti (CVSS 3.1); 7.5 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Możliwość automatyzacji | TAK według oceny SSVC CISA (wg analizy źródłowej) |
Prognoza EPSS | Około 81% szansy próby wykorzystania w ciągu 30 dni, górny 1% wszystkich podatności (stan na 23 sierpnia 2026, wg analizy źródłowej) |
Dwie oceny CVSS różnią się tylko tym, czy szkoda wychodzi poza samą konsolę. Wszystkie sygnały o realnym zagrożeniu wskazują w tę samą stronę:
Sygnały zagrożenia dla CVE-2026-1603
CVSS 3.1 (Ivanti) 8.6/10 █████████████████░░░ WYSOKA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~81% ████████████████░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-02-10 Ivanti publikuje biuletyn i poprawkę (EPM 2024 SU5)
2026-02-10 Publikacja CVE-2026-1603 w NVD
2026-02-17 CISA ocenia wykorzystanie jako aktywne (SSVC)
2026-03-09 CISA dodaje lukę do katalogu KEV
2026-03-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08-23 EPSS około 81%
... prawie 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z instrukcją aktualizacji: hub.ivanti.com: Security Advisory EPM February 2026 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-1603 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Ivanti Endpoint Manager | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji EPM i o tym, skąd konsola jest osiągalna | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe odcięcie konsoli od internetu i aktualizację do 2024 SU5 | CTO | DZISIAJ |
4 | Zlecić wymianę poświadczeń zapisanych w konsoli | CTO | DO JUTRA |
5 | Zlecić przegląd logowań kont usługowych od lutego 2026 | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w polisie cyberubezpieczenia wymogi dotyczące znanych, nienaprawionych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest wersja naszego Ivanti Endpoint Manager? | [wersja] | 🔴 |
2 | Czy serwer EPM jest osiągalny z internetu lub z sieci gościnnej? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano 2024 SU5 lub nowszą? | [data] | 🔴 |
4 | Jakie konta i hasła są zapisane w konsoli i czy zostały wymienione po aktualizacji? | [lista kont] / TAK / NIE | 🟠 |
5 | Czy przejrzano logowania kont usługowych EPM od lutego 2026? | TAK / NIE, [data przeglądu] | 🟠 |
6 | Jakie uprawnienia mają konta usługowe EPM (np. administrator domeny)? | [uprawnienia] | 🟠 |
7 | W jakim czasie od publikacji instalujemy poprawki do systemów zarządzających komputerami? | [liczba dni] | 🟡 |
CVE-2026-1603 w Ivanti Endpoint Manager starszym niż 2024 SU5 pozwala bez logowania wykraść poświadczenia zapisane w konsoli, a te otwierają drogę do komputerów w całej firmie. CISA potwierdza ataki, termin minął 23 marca 2026 roku, więc aktualizacja, odcięcie konsoli od internetu i wymiana haseł to zadania na dziś i jutro.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.